图6
步骤2：激活无线网卡至monitor即监听模式。
对于很多小黑来说，应该都用过各式各样的嗅探工具来抓取密码之类的数据报文。那么，大家也都知道，用于嗅探的网卡是一定要处于monitor监听模式地。对于无线网络的嗅探也是一样。 在Linux下，我们使用Aircrack-ng套装里的airmon-ng工具来实现，具体命令如下： airmon-ng start wlan0 参数解释：
start 后跟无线网卡设备名称，此处参考前面ifconfig显示的无线网卡名称；
如下图7所示，我们可以看到无线网卡的芯片及驱动类型，在Chipset芯片类型上标明是Ralink 2573芯片，默认驱动为rt73usb，显示为“monitor mode enabled on mon0”，即已启动监听模式，监听模式下适配器名称变更为mon0。
图7
步骤3：探测无线网络，抓取无线数据包。
在激活无线网卡后，我们就可以开启无线数据包抓包工具了，这里我们使用Aircrack-ng套装里的airmon-ng工具来实现，具体命令如下：
不过在正式抓包之前，一般都是先进行预来探测，来获取当前无线网络概况，包括AP的SSID、MAC地址、工作频道、无线客户端MAC及数量等。只需打开一个Shell，输入具体命令如下： airodump-ng mon0 参数解释：
mon0为之前已经载入并激活监听模式的无线网卡。如下图8所示。
图8
回车后，就能看到类似于下图9所示，这里我们就直接锁定目标是SSID为“TP-LINK”的AP，其BSSID（MAC）为“00：19：E0：EB：33：66”，工作频道为6，已连接的无线客户端MAC为“00：1F：38：C9：71：71”。
图9
既然我们看到了本次测试要攻击的目标，就是那个SSID名为TP-LINK的无线路由器，接下来输入命令如下： airodump-ng --ivs –w longas -c 6 wlan0 参数解释：
--ivs 这里的设置是通过设置过滤，不再将所有无线数据保存，而只是保存可用于破解的IVS数据报文，这样可以有效地缩减保存的数据包大小；
-c 这里我们设置目标AP的工作频道，通过刚才的观察，我们要进行攻击测试的无线路由器工作频道为6； -w 后跟要保存的文件名，这里w就是“write写”的意思，所以输入自己希望保持的文件名，如下图10所示我这里就写为longas。那么，小黑们一定要注意的是：这里我们虽然设置保存的文件名是longas，但是生成的文件却不是longase.ivs，而是longas-01.ivs。
图10
注意：这是因为airodump-ng这款工具为了方便后面破解时候的调用，所以对保存文件按顺序编了号，于是就多了-01这样的序号，以此类推，在进行第二次攻击时，若使用同样文件名longas保存的话，就会生成名为longas-02.ivs的文件，一定要注意哦，别到时候找不到又要怪我没写清楚：） 啊，估计有的朋友们看到这里，又会问在破解的时候可不可以将这些捕获的数据包一起使用呢，当然
可以，届时只要在载入文件时使用longas*.cap即可，这里的星号指代所有前缀一致的文件。
在回车后，就可以看到如下图11所示的界面，这表示着无线数据包抓取的开始。
图11
步骤4：对目标AP使用ArpRequest注入攻击
若连接着该无线路由器/AP的无线客户端正在进行大流量的交互，比如使用迅雷、电骡进行大文件下载等，则可以依靠单纯的抓包就可以破解出WEP密码。但是无线黑客们觉得这样的等待有时候过于漫长，于是就采用了一种称之为“ARP Request”的方式来读取ARP请求报文，并伪造报文再次重发出去，以便刺激AP产生更多的数据包，从而加快破解过程，这种方法就称之为ArpRequest注入攻击。具体输入命令如下： aireplay-ng -3 -b AP的mac -h 客户端的mac mon0 参数解释：
-3 指采用ARPRequesr注入攻击模式；
-b 后跟AP的MAC地址，这里就是前面我们探测到的SSID为TPLINK的AP的MAC； -h 后跟客户端的MAC地址，也就是我们前面探测到的有效无线客户端的MAC； 最后跟上无线网卡的名称，这里就是mon0啦。
回车后将会看到如下图12所示的读取无线数据报文，从中获取ARP报文的情况出现。
图12
在等待片刻之后，一旦成功截获到ARP请求报文，我们将会看到如下图13所示的大量ARP报文快速交互的情况出现。
图13
此时回到airodump-ng的界面查看，在下图14中我们可以看到，作为TP-LINK的packets栏的数字在飞速递增。